A verificação de identidade no atendimento é o passo que separa um bom atendimento de um incidente de segurança. O cliente escreve pelo WhatsApp pedindo a segunda via de um boleto, a troca do endereço de entrega ou os dados cadastrados em nome dele, e o atendente precisa decidir, em segundos, se fala com o titular ou com alguém que se passa por ele.
O desafio é fazer isso sem transformar cada conversa em interrogatório. Verificar demais afasta o cliente e trava a fila; verificar de menos abre a porta para fraude e vazamento de dados pessoais, com consequências sob a LGPD.
A proposta aqui é um modelo proporcional ao risco: níveis de verificação, código por WhatsApp ou SMS, perguntas a evitar, registro para auditoria e um procedimento pronto para a equipe.
Por que verificar: fraude e LGPD
Dois motivos sustentam a verificação, e eles se reforçam.
Fraude por engenharia social. O golpista não invade sistemas; ele conversa. Pede para "atualizar o telefone cadastrado", "mudar a conta do reembolso" ou "reenviar o boleto para outro e-mail". Com dados de vazamentos, responde CPF, data de nascimento e nome da mãe sem hesitar. O atendimento é o alvo porque é onde uma pessoa pode ser convencida.
Proteção de dados pessoais. A LGPD exige medidas de segurança contra acessos não autorizados (art. 46) e prevê que o titular exerça direitos como acesso, correção e exclusão dos seus dados (art. 18). Entregar dados a quem não é o titular é um incidente de segurança, com dever de comunicação (art. 48) e risco de sanção. Ao mesmo tempo, o princípio da necessidade pede que a empresa colete só o que precisa para verificar, e não um dossiê a cada conversa.
A verificação, portanto, não é burocracia: é a forma de cumprir a lei e proteger o cliente. O ponto é calibrá-la pelo risco.
Níveis de verificação de identidade no atendimento por risco
Nem toda solicitação exige o mesmo rigor. Classificar as demandas em níveis evita pedir CPF para informar o horário de funcionamento e evita trocar dados bancários com base em uma pergunta de sim ou não.
- Baixo — Exemplos de solicitação: Informações públicas, horário, prazo de entrega, status de pedido com número do pedido; O que confirmar: Nada ou dados básicos; Método: Nenhuma verificação ou número do pedido
- Médio — Exemplos de solicitação: Segunda via de boleto, alteração de preferência de contato, detalhes de um pedido em nome do cliente; O que confirmar: Que o contato vem do titular; Método: Dados básicos + código enviado ao canal cadastrado
- Alto — Exemplos de solicitação: Troca de endereço com pedido em andamento, mudança de dados bancários ou de telefone, cancelamento com reembolso, acesso ou exclusão de dados; O que confirmar: Posse do canal cadastrado e identidade documental; Método: Código + documento ou canal secundário; em casos críticos, ligação ou videochamada
Três regras tornam o modelo aplicável:
- O nível é da solicitação, não do cliente. A mesma pessoa pode pedir algo de nível baixo e, na frase seguinte, algo de nível alto.
- Mudança de dados de contato é sempre nível alto. Trocar telefone ou e-mail é o primeiro passo do fraudador, porque depois os códigos passam a chegar para ele.
- Pedidos de direitos do titular são nível alto. Entregar o histórico de dados à pessoa errada é o pior cenário.
Código por WhatsApp ou SMS no atendimento
O código de uso único é o método mais prático para os níveis médio e alto, porque confirma a posse de um canal cadastrado, e não o conhecimento de dados que podem ter vazado. Vale entender o que é OTP (código de verificação) antes de desenhar o fluxo: um código temporário, válido por poucos minutos e por um único uso.
Como funciona no atendimento
- O atendente aciona o envio pelo sistema; ele nunca gera nem vê o código.
- O código vai para o canal cadastrado (telefone ou e-mail), não para o número de onde o cliente escreve, se forem diferentes.
- O cliente informa o código na conversa; o sistema valida e registra o resultado.
- Código errado três vezes ou expirado: o atendente encerra a verificação e segue o procedimento de falha.
Modelo de mensagem
Para sua segurança, enviei um código de 6 dígitos para o telefone cadastrado (final 4321). Pode me informar o código aqui? Ele vale por 5 minutos. Lembrando: nossa equipe nunca pede senha, só esse código.
Do lado técnico, o envio sai do sistema de atendimento ou do CRM; há guias de como enviar código de verificação pelo WhatsApp via API com validade, limite de tentativas e registro. Para o gestor, o que importa é que o código seja gerado e validado por sistema, nunca por pessoa.
Uma regra para a equipe decorar: o atendente nunca pede um código que ele não acionou. Códigos de login e de redefinição de senha nunca são pedidos no atendimento; se o cliente diz "recebi um código, é de vocês?", a orientação é ignorar.
Perguntas de segurança: o que evitar
Perguntas de confirmação têm lugar no nível médio, mas a maior parte das usadas pelas empresas não verifica nada.
- "Confirma o CPF 123.456.789-00?" — Por quê: O atendente entregou o dado; basta dizer "sim"; Prefira: O cliente informa; o atendente compara
- Data de nascimento, nome da mãe, CEP — Por quê: Aparecem em vazamentos e em redes sociais; Prefira: Dados que só o cliente e a empresa conhecem: número e valor do último pedido, data da última compra
- Pedir senha, código de login ou número completo do cartão — Por quê: Nunca é necessário e treina o cliente a entregar isso a golpistas; Prefira: Código de uso único acionado pelo sistema
- Foto de documento para tudo — Por quê: Coleta excessiva e dado parado no WhatsApp; Prefira: Documento só no nível alto, descartado após a validação
Sobre dados cadastrais: validar que um CPF existe e está regular é útil no cadastro, para reduzir contas falsas, e uma rotina de consultar a situação do CPF resolve isso na entrada. No atendimento, porém, o CPF regular não prova que quem escreve é o dono dele; verificação de cadastro e verificação de identidade são etapas diferentes.
Registro e auditoria
Verificação sem registro não existe para quem audita. Cada verificação de nível médio ou alto deve gerar um registro com:
- data e hora;
- atendente responsável;
- solicitação e nível de risco;
- método usado (código, documento, canal secundário);
- resultado (aprovada, falhou, abandonada) e tentativas;
- protocolo da conversa.
Onde registrar: no sistema de atendimento ou no CRM, em campo estruturado, não em anotação solta. Ele precisa ser consultável em caso de reclamação, pedido do titular ou incidente.
Cuidados com os dados coletados:
- Minimização: documento só no nível alto, descartado da conversa após a validação, com prazo de retenção definido.
- Acesso: poucas pessoas veem os registros e os documentos enviados.
- Amostragem: o supervisor revisa uma amostra semanal de verificações de nível alto.
O histórico das conversas é a segunda camada da auditoria. Ferramentas de monitoramento de atendimento, como o PulseOut, guardam o histórico e mostram quem atendeu cada conversa no WhatsApp Web; a IA pode marcar sinais de atenção, como pedido de troca de dados ou pressa incomum, sempre com o trecho que gerou a marcação, e cabe ao gestor revisar.
O registro formal da verificação continua no sistema de atendimento; o monitoramento ajuda a encontrar o que revisar. Como o acompanhamento alcança a equipe, vale alinhar os limites do guia sobre se a empresa pode monitorar o WhatsApp dos funcionários.
Procedimento para a equipe
O procedimento precisa caber em uma página e ser seguido sem exceção, inclusive quando o cliente tem pressa. Pressa é o principal sinal de engenharia social.
Roteiro em cinco passos
- Classifique a solicitação em baixo, médio ou alto antes de responder qualquer dado.
- Explique a verificação em uma frase: "Para sua segurança, preciso confirmar algumas informações antes de prosseguir."
- Aplique o método do nível: nada, dados básicos mais código, ou código mais documento ou canal secundário.
- Registre o resultado no campo próprio do sistema.
- Prossiga ou encerre: aprovada, atende; falhou, oferece alternativas e encerra sem entregar dados.
Quando a verificação falha
Não consegui confirmar a identidade por aqui, e por segurança não consigo seguir com essa solicitação neste canal. Você pode fazer o pedido pelo aplicativo, com seu login, ou em uma de nossas lojas com documento. Posso te ajudar com mais alguma coisa que não dependa de dados pessoais?
Sem constrangimento nem acusação: a maior parte das falhas é de cliente legítimo que trocou de número ou errou o código.
Sinais de alerta para escalar ao supervisor
- insistência em pular a verificação ou em "resolver rápido";
- pedido de troca de telefone, e-mail ou conta bancária logo no início;
- cliente que sabe todos os dados cadastrais, mas erra o código mais de uma vez;
- mesma solicitação repetida de números diferentes.
Treine com simulações: um supervisor faz o papel de cliente apressado e verifica se o procedimento resiste. Repita a cada novo integrante e a cada mudança; o guia sobre qualidade no atendimento ao cliente mostra como incluir esse item na avaliação periódica.
Perguntas frequentes
Preciso verificar a identidade em todo atendimento pelo WhatsApp?
Não. Solicitações de baixo risco, como horário, prazo ou informações públicas, dispensam verificação. O rigor cresce com o risco: dados pessoais, alterações cadastrais e pedidos de direitos do titular pedem código e, nos casos críticos, documento ou canal secundário.
Perguntar CPF e data de nascimento é suficiente para confirmar quem está falando?
Não. Esses dados circulam em vazamentos e são a primeira coisa que um golpista tem em mãos. Use-os, no máximo, como dados básicos do nível médio, combinados com um código de uso único no canal cadastrado.
Posso enviar o código de verificação pelo mesmo WhatsApp em que o cliente está falando?
Para o nível médio, quando o cliente escreve do número cadastrado, é aceitável: o WhatsApp já indica posse daquele número. Para o nível alto, prefira um canal secundário, como SMS para o telefone do cadastro ou e-mail, porque clonagem de conta e troca de chip existem.
A LGPD exige verificação de identidade no atendimento?
A lei exige medidas de segurança contra acesso não autorizado e prevê direitos que só podem ser atendidos ao próprio titular. Na prática, a empresa precisa ter segurança razoável de que fala com a pessoa certa antes de entregar ou alterar dados, e provar isso com registro.
Próximos passos
A verificação de identidade no atendimento funciona quando é proporcional, registrada e treinada. Classifique as solicitações mais comuns nos três níveis, escreva o procedimento em uma página, ative o código por sistema para os níveis médio e alto, crie o campo de registro e defina quem revisa a amostra semanal.
Para ver quem atendeu cada conversa e encontrar os pontos de atenção que merecem revisão, conheça o PulseOut.
